Обсуждение [J1.5] Как узнать пароль пользователя в Joomla?

[1d37r]

1d37r с помощью пассвордспро некоторые пассы можно брутить миллиарды лет, причем безрезультатно, например вот этот пасс

:Ч7(рi8gТd|WXЬ#МGMV-

из 20 символов состоящих из low_alpa alpa digit spec rus на пассвордспро даже ваши правнуки не сбрутят если вы сегодня включите на прогон.
А если его еще посолить... Да сделать двойное хэширование... Ну, вы меня поняли

большинство пользователей не используют сложно-запоминающиеся пароли. Плюс учитывая наше время и современные технологии, то возможно сбрутить довольно сложные пароли, имеется куча вариантов, куча словарей и рандом таблиц.
Могу по этому поводу спорить долго, у меня корефан hashckracking.info сделал =/ (это понт =)

 

[scarm]

большинство пользователей не используют сложно-запоминающиеся пароли. Плюс учитывая наше время и современные технологии, то возможно сбрутить довольно сложные пароли, имеется куча вариантов, куча словарей и рандом таблиц.
Могу по этому поводу спорить долго, у меня корефан hashckracking.info сделал =/ (это понт =)

Я сам постоянно сижу на hashckracking.info безо всяких корешей И мой пост был ответом на ваше сообщение

с помощью пассвордспро можно сбрутить =/

которое, как я понял, было ответом на выложенный хэш

53cc4dcebfe2101aa6fe8e6a422247f6:7HIrJv8VBjC9IOai

Так вот, прежде чем с такой самоуверенностью заявлять что можно, а что нет, попробуйте сначала с учетом ВСЕХ ваших современных технологий сбрутить выложенный простой md5($pass.$salt)
(а если я его еще зашифрую в md5(unix)?
При всей совершенности современных технологий вы не сбрутите больше 70% хэшей простых md5, и то, убив на это кучу ресурсов и времени. Предложенный мною метод позволяет получить реалпассы для 100% активных пользователей при любом виде шифрования (хоть md5(unix), причем без особого мозгового штурма

P.S. Вы бы знали, сколько мусора лежит в хэшах, причем мусора совершенно бесполезного на который тратится куча ресурсов. Например, прошелся кто-то по форуму/блогу хрумером, зарегался, запостил мессагу и свалил, пароль сгенерировался в хрумере автоматически, например Y2QZenl827 или eu5F5Kx162 или cyyJE4m152 . Этот мусор совершенно бесполезен, но сильно отвлекает ресурсы. Чтобы подобрать эти пароли, можно рехнуться убивая машинное время и свой моск. Или просто вести лог авторизаций.

 

[1d37r]

Типы хэшей, поддерживаемые программой PasswordsPro и доступные в виде внешних модулей:

– MySQL
– MySQL5
– DES(Unix)
– MD4
– MD4(Base64)
– MD4(HMAC)
– MD5
– MD5(Base64)
– MD5(HMAC)
– MD5(Unix)
– MD5(APR)
– SHA-1
– SHA-1(Base64)
– SHA-1(HMAC)
– SHA-256
– SHA-384
– Domain Cached Credentials
– Haval-128
– Haval-160
– Haval-192
– Haval-224
– Haval-256
– Tiger-128
– Tiger-160
– Tiger-192
– Whirlpool
– md5($pass.$salt)
– md5($salt.$pass)
– md5(md5($pass))
– md5(md5($pass).$salt)
– md5($salt.md5($pass))
– md5($salt.$pass.$salt)
– md5(md5($salt).$pass)
– md5($salt.md5($salt.$pass))
– md5(md5($salt).md5($pass))
– sha1($username.$pass)
– и др.

Типы хэшей, написанные сторонними разработчиками и также доступные в виде внешних модулей в дистрибутиве программы:

– MD2
– MS SQL
– Oracle DES
– Oracle SHA-1
– RipeMD-128
– и др.

а дальше в бой идут радужные таблицы, тонны словарей, атака по маске и как уже безисходный вариант полный перебор. т.е. что я хочу сказать, так это то, что теоретически обыденный пароль пользователя можно сбрутить, т.е. это как пример. А уж если попадется паронаидальный пароль на примере Y2QZenl827 или eu5F5Kx162 или cyyJE4m152, тогда в ход идут совсем другие методы нападения, не в данном топе упомянутые. ИМХО

 

[scarm]

1d37r, не знаю, зачем вы тут выложили модули на пасвордспро. И незачем было здесь выкладывать FAQ по расшифровке пассов, поверьте, многим здесь он известен.
Радужные таблицы на соленых хэшах не катят - это раз.

обыденный пароль пользователя можно сбрутить

Вы повторяетесь, уже было сказано, что

При всей совершенности современных технологий вы не сбрутите больше 70% хэшей простых md5, и то, убив на это кучу ресурсов и времени

- это два.
И три - самые "вкусные" пассы как раз бруту (в том числе и

совсем другие методы нападения, не в данном топе упомянутые.

) практически не поддаются.
Еще раз верну вас к хэшу

53cc4dcebfe2101aa6fe8e6a422247f6:7HIrJv8VBjC9IOai

сбрутите - смело продолжайте сеять оптимизм
П.С. вместо того, чтобы пичкать теорией, применили бы на практике свои утверждения.

П.П.С. Попробуйте себя здесь:

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

. Обычные DES-хэши. Включите ПассвордсПро и дайте на гора хотя-бы 90% расшифровки. Тогда ваши утверждения будут не голословны, и вы станете без шуток мега-кул-декриптором
А еще лучше, зайдите сюда

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

и дайте 90% результата. Еще и денег заработаете.

 

[mokh]

Вот ест такая прога PasswordPro, вродь как раз для восстановления пароля из хэша.

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[khlamaster]

ну с данной прогой тоже не все так шоколадно

Добавлено через 2 минуты

Вот ест такая прога PasswordPro, вродь как раз для восстановления пароля из хэша.
*** скрытое содержание ***

регистрируйся под паролем который больше нигде не используешь, даже если его узнают, больше никуда не войдут

ну и еще, для регистрации на новом ресурсе-новое мыло, а чтобы не парить мозг с кучей ящиков - редирект входящего на основной, есс-но что пароли должны быть разными как на ресурсе так и на мылах

 

[scarm]

ну и еще, для регистрации на новом ресурсе-новое мыло, а чтобы не парить мозг с кучей ящиков - редирект входящего на основной, есс-но что пароли должны быть разными как на ресурсе так и на мылах

Правда при такой безопасности очень легко сломать моск

 

[o_nix]

PasswordPro - это в основном для тех кто забыл свойже пароль сахранённый в кеше
Для подбора она негодится .. слишком тормознутая ...

Реч идёт о md5(unix) - алгоритм не поддерживает обратное преобразование те нужно запускать генератор md5 и сравнивая результат определять тотли пароль...
scarm правильно написал для 20ти значного пароля уёдёт нереальное время
для простого 8-10 ти значного уже поменьше но всёравно очень и очень много.. если конечно вы не обладаете собственной сетью распределённых вычислений...

к слову тут както на форуме lift выкладывал инфу о том как можно бюджетно сделать такую сеть Для просмотра ссылки Войди или Зарегистрируйся

 

[mordaspp]

регистрируйся под паролем который больше нигде не используешь, даже если его узнают, больше никуда не войдут

а если речь идет об администраторе сайта, его пароле и доступе к админке?

 

[scarm]

а если речь идет об администраторе сайта, его пароле и доступе к админке?

1.Запароль папку administrator.
2.убери права записи на mod_login.php (даже для себя)
3. Периодически сканируй установленные компоненты на наличие уязвимостей.
Должно сработать